L’intelligenza artificiale non è una questione tecnologica, ma di governance
L’intelligenza artificiale sta rapidamente penetrando nei processi aziendali, ma fermarsi alla dimensione tecnologica rischia di essere fuorviante. A differenza di come si potrebbe pensare, il vero tema non è infatti tecnologico, ma organizzativo.
(Nella foto: Davide Panella, speaker al Privacy Symposium 2026 nel panel di Federprivacy)
L’AI non può essere trattata come un progetto IT: è, a tutti gli effetti, un processo aziendale strutturato, che richiede responsabilità diffuse e un sistema di controllo che accompagni il suo intero ciclo di vita.
Il punto di partenza non è la tecnologia, ma il business. Ogni iniziativa nasce da un’esigenza concreta e da un responsabile preciso: il “business owner”, a cui spetta individuare l’opportunità e ad assumerne la responsabilità, trasformando l’AI da semplice sperimentazione tecnica a leva industriale. Intorno a questa figura si attiva poi una vera e propria architettura organizzativa: una funzione tecnica deputata allo sviluppo (“AI Factory”) affiancata da strutture di governance che presidiano regole e rischi, oltre a un sistema di comitati chiamati ad approvare e monitorare le iniziative.
Non si tratta, dunque, di innovazione “libera”, ma di innovazione governata. Ed è proprio qui che si coglie uno dei principali cambi di paradigma. Prima ancora di sviluppare o adottare un algoritmo, l’azienda è chiamata a interrogarsi sul rischio. Non è un passaggio formale, ma sostanziale: si tratta di valutare in anticipo se e in che misura un sistema possa generare impatti rilevanti, considerando cosa fa, come opera, su chi incide e con quale livello di criticità.
Questo approccio anticipatorio è sempre più centrale anche alla luce del quadro normativo europeo. Con l’entrata in vigore dell’Artificial Intelligence Act, le imprese sono infatti chiamate a classificare i sistemi in base al rischio e a rispettare obblighi proporzionati. Ma è soprattutto il coordinamento con il Regolamento generale sulla protezione dei dati (GDPR) a rappresentare il vero banco di prova operativo.
L’intelligenza artificiale, infatti, è quasi sempre data-driven: funziona tanto meglio quanto più i dati sono ampi, accurati e aggiornati. Ed è proprio qui che si annidano alcuni dei rischi più rilevanti. Basti pensare che, secondo uno studio condotto dal USC Information Sciences Institute, circa il 40% dei dataset utilizzati nei modelli di AI presenta problemi di qualità, bias o incompletezza, con effetti diretti sull’affidabilità delle decisioni automatizzate.
La protezione dei dati entra quindi nel cuore della governance dell’AI. Non è più sufficiente verificare la base giuridica del trattamento o adempiere agli obblighi informativi, ma occorre presidiare l’intero ciclo di vita del dato.
Questo significa, ad esempio, interrogarsi sulla provenienza dei dati utilizzati per addestrare i modelli, sulla loro rappresentatività, sulla presenza di eventuali distorsioni e sulla compatibilità degli utilizzi con le finalità originarie.
Il principio che emerge è netto: se il rischio è troppo elevato o non adeguatamente gestibile, il progetto non deve partire. È un’inversione rispetto al passato, in cui il controllo interveniva spesso a valle. Oggi, invece, la decisione si deve prendere a monte.
Da qui deriva anche un’altra conseguenza: l’intelligenza artificiale non è un evento, ma un processo continuo. Il suo ciclo di vita attraversa diverse fasi – dalla valutazione iniziale allo sviluppo, fino alla messa in produzione e alla gestione operativa – ma ciò che conta è la continuità del presidio. Nessun algoritmo può essere semplicemente “rilasciato” e dimenticato.
In questo contesto cambia profondamente anche il ruolo della compliance. Non è più una funzione chiamata a verificare ex post, ma un attore che entra nel processo decisionale, contribuisce alla valutazione del rischio, esprime pareri formali e, se necessario, può anche bloccare o condizionare un’iniziativa. E non opera in isolamento: il controllo diventa distribuito, coinvolgendo privacy, risk management, sicurezza informatica e altre funzioni chiave.
Un aspetto spesso sottovalutato riguarda poi i fornitori. L’adozione di soluzioni esterne non trasferisce il rischio all’esterno: lo rende semplicemente più complesso da gestire. Le aziende sono quindi chiamate a verificare che i partner tecnologici garantiscano adeguati livelli di trasparenza, sicurezza e gestione dei rischi, oltre a una documentazione completa. In altre parole, il rischio non si esternalizza.
Ma è nella fase di esercizio che si gioca la partita più delicata. Molti tendono a concentrare l’attenzione sullo sviluppo, mentre il vero rischio emerge nel tempo. I modelli possono degradarsi, i dati cambiare, i risultati perdere affidabilità. Oltre il 50% dei modelli di machine learning subisce infatti fenomeni di “model drift” entro il primo anno di utilizzo, rendendo necessario un monitoraggio costante e interventi correttivi tempestivi.
Per questo il presidio deve essere continuo: controllo delle performance, verifica dei risultati, revisione periodica dei modelli e – sempre più – audit sui dati utilizzati.
Un algoritmo che oggi funziona correttamente può non farlo più domani, soprattutto se alimentato da dati che evolvono rapidamente o che non sono stati adeguatamente governati fin dall’inizio.
Il messaggio per i manager d’impresa è chiaro: l’intelligenza artificiale non è una questione tecnologica, ma di governance, e il rischio non si gestisce dopo, ma si decide all’inizio. È su questo terreno che si misurerà la reale capacità delle imprese di trasformare veramente l’AI in un vantaggio competitivo sostenibile.
Fonte: Economy
